> es ist ein Forest mit 2 gleichberechtigten Domänen.
Also ein Forest mit einer Root-Domain und 2 Sub-Domain oder ein Forest mit einer Root-Domain und einem separaten Tree?
> Die erste Domäne besitzt eine Standalone Zertifizierungsstelle.
Dies ist die Root-CA oder eine Intermediate/Issuing-CA?
> Bisher wurde über die erste Domäne bzw. Zertifizierungsstelle ein Root-CA ausgestellt.
Wie meinen? Definiere, was für Dich "über die erste [..] Zertifizierungsstelle ein Root-CA ausgestellt" bedeutet..
> Wenn ich jetzt aber von der zweiten Domäne, die Website CerSRV von der ersten Domäne aufrufe, kann ich zwar Zertifikate ausstellen
D.h. die Benutzer aus der Domäne B haben Zugriff auf die CA der Domäne A. Wenn diese jedoch eine Standalone CA ohne AD-Integration ist, wie ist hier die Konfiguration der Berechtigungen vorgenommen worden?
> aber z.B. kein Benutzerzertifizat, da der User, verständlicherweise, nicht im AD der ersten Domäne vorhanden ist.
User sollten über Global Katalogs und Vertrauensstellungen forestweit bekannt sein. Nur die zugehörigen Berechtiungen sollten ggf. verifiziert werden.
Überprüfe diesbzgl. auch einmal folgenden Blog-Artikel:
CertSrv Request - DCOM Fehler 2147942405 beim Aktivieren von Class ID {D99E6E74-FC88-11D0-B498-00A0C90312F3}
http://blogs.technet.com/b/deds/archive/2011/12/08/certsrv-request-dcom-fehler-2147942405-beim-aktivieren-von-class-id-d99e6e74-fc88-11d0-b498-00a0c90312f3.aspx
> Das Root-CA der ersten Domäne ist auch bei allen Usern in den Stammzertifikat eingebunden.
Sowohl in der Domäne A als auch in der Domäne B? Gibt es zwischen der Root CA und dem ausgestellten Zertifikat noch weitere Intermediate bzw. Issuing CAs?
Verifiziere auch einmal Deine gesamte PKI Inrastruktur anhand folgender Artikel-Serie (I-V):
Designing and Implementing a PKI: Part III Certificate Templates
http://blogs.technet.com/b/askds/archive/2010/05/27/designing-and-implementing-a-pki-part-iii-certificate-templates.aspx
-
Tobias Redelberger
StarNET Services (HomeOffice)
Frankfurter Allee 193
D-10365 Berlin
Tel: +49 (30) 86 87 02 678
Mobil: +49 (163) 84 74 421
Email: T.Redelberger@starnet-services.net
Web: http://www.starnet-services.net
